ویندوز چگونه روی فایلهای دانلودی برچسب مخفی می‌زند تا سپرهای امنیتی را فعال کند
هر زمان که فایلی را از اینترنت دانلود می‌کنید، ویندوز یک جریان داده جایگزین (Alternate Data Stream) نامرئی به آن می‌چسباند که تعیین می‌کند سیستم‌عامل با چه شدتی باید آن را محدود کند.
به قلم کامران صادقی
این خبر را به اشتراک بگذارید
به‌طور خلاصه
- هر فایلی که از اینترنت روی یک کامپیوتر ویندوزی مدرن دانلود میشود، یک برچسب متادیتای پنهان به نام Mark of the Web دریافت می‌کند.
- این برچسب در یک جریان داده جایگزین (Alternate Data Stream) ذخیره میشود، که آن را در نمای استاندارد File Explorer نامرئی کرده و حجم فایل را نیز تغییر نمی‌دهد.
- ویندوز از این برچسب برای فعال کردن ویژگی‌های امنیتی مانند Microsoft Defender SmartScreen و Office Protected View استفاده می‌کند.
در ۱۰ سپتامبر ۲۰۲۶، رسانه فناوری MakeUseOf یک تحلیل فنی از پژوهشگری به نام اولووادمیلاده آفولابی منتشر کرد که جزئیات یک عملیات خاموش را شرح می‌داد؛ عملیاتی که هر بار کاربری فایلی را از اینترنت ذخیره می‌کند، رخ میدهد.
وقتی یک فایل PDF با حجم ۱۵ مگابایت یا یک فایل نصب نرم‌افزار وارد پوشه Downloads ویندوز میشود، سیستم‌عامل فقط آن سند را ذخیره نمی‌کند. بلکه یک رسید متادیتای پنهان به آن می‌چسباند که در نمای استاندارد File Explorer کاملاً نامرئی است و دقیقاً ثبت می‌کند که این داده‌ها از کجا آمده‌اند.[1]
این رسید پنهان رسماً با نام Mark of the Web (MotW) شناخته میشود. این مکانیزم به یکی از ویژگی‌های سیستمفایل NT (یا NTFS) به نام جریانهای داده جایگزین (Alternate Data Streams) متکی است. در حالی که جریان داده اصلی حاوی محتوای واقعی تصویر یا سند است، ویندوز یک جریان ثانویه و مخفی به نام Zone.Identifier را به همان فایل اضافه می‌کند.[3]
این جریان ثانویه به عنوان یک بستر امنیتی دائمی برای فایل عمل می‌کند. بر اساس مستندات چارچوب MITRE ATT&CK که این مکانیزم را تحت زیرتکنیک T1553.005 ردیابی می‌کند، سیستم‌عامل از این متادیتا استفاده می‌کند تا تعیین کند هنگام تلاش کاربر برای باز کردن فایل، با چه شدتی باید آن را محدود کند.[2]
در داخل جریان Zone.Identifier، ویندوز یک عدد صحیح خاص به نام ZoneId اختصاص میدهد. مقدار ۰ نشان‌دهنده فایلی است که روی همان کامپیوتر ایجاد شده، ۱ نمایانگر شبکه داخلی (Local Intranet) است، ۲ سایت‌های مورد اعتماد (Trusted Sites) را مشخص می‌کند، ۳ به اینترنت عمومی (Internet) اشاره دارد و ۴ سایت‌های محدود شده (Restricted Sites) را علامت‌گذاری می‌کند.
اکثریت قریب به اتفاق دانلودهای وب، مقدار ZoneId=3 را دریافت میکنند. وقتی کاربری فایلی را از طریق Google Chrome، Mozilla Firefox یا Microsoft Edge دانلود می‌کند، مرورگر این عدد را در جریان داده جایگزین می‌نویسد. مرورگرهای مدرن اغلب یک قدم فراتر می‌روند و HostUrl و ReferrerUrl دقیق را نیز در این جریان جاسازی میکنند تا یک سابقه جرم‌شناسی از مبدأ دانلود ایجاد کنند.[3]
از آنجا که این داده‌ها در یک جریان داده جایگزین قرار دارند، هش اصلی فایل را تغییر نمی‌دهند و حجم فایل گزارش شده توسط سیستم‌عامل را نیز افزایش نمی‌دهند. کاربر تنها با باز کردن Command Prompt ویندوز و اجرای دستور dir /r می‌تواند این جریان را ببیند؛ دستوری که پیوستهای پنهان $DATA را در زیر نام فایلهای استاندارد فهرست می‌کند.[1]
کاربرد این برچسب پنهان دقیقاً در لحظه‌ای که کاربر روی فایل دو بار کلیک می‌کند، آشکار میشود. اگر آیتم دانلود شده یک برنامه اجرایی با برچسب ZoneId=3 باشد، Windows Defender SmartScreen فرآیند اجرا را متوقف می‌کند. این نرم‌افزار امنیتی پیش از صدور اجازه اجرا، امضای رمزنگاری فایل را با لیست مجاز مایکروسافت مطابقت میدهد.[3]
این محدودیت‌ها برای اسناد اداری حتی سخت‌گیرانه‌تر است. از نسخه Microsoft Office 10 به بعد، هر فایل Word، Excel یا PowerPoint که حامل برچسب Mark of the Web باشد، به‌طور خودکار در حالت Protected View باز میشود. این حالت ایزوله و فقط‌خواندنی، از تعامل سند با بخش‌های گسترده‌تر سیستم‌عامل جلوگیری می‌کند.[2]
در محیط‌های مدرن Microsoft 365، وجود برچسب ZoneId=3 باعث مسدود شدن خودکار تمام ماکروهای Visual Basic for Applications (VBA) میشود. همان‌طور که شرکت امنیت سایبری Procirrus اشاره می‌کند، این مکانیزم «یک مسیر حیاتی برای بدافزارهایی که از طریق پیش‌نمایش اجرا می‌شوند را می‌بندد» و از اجرای اسکریپت‌های مخرب در لحظه کلیک کاربر روی فایل در برنامه ایمیل جلوگیری می‌کند.
با این حال، این سیستم یک محدودیت ساختاری دارد: جریانهای داده جایگزین مختص سیستمفایل NTFS هستند. اگر کاربری یک فایل برچسب‌دار را در یک فلش USB با فرمت قدیمی‌تر FAT32 کپی کند، یا آن را به یک ماشین لینوکس با پارتیشن Ext4 انتقال دهد، جریان ثانویه فوراً حذف میشود.[3]
وقتی همان فایل دوباره به یک درایو ویندوزی NTFS کپی شود، بدون Zone.Identifier خود به مقصد می‌رسد. اکنون سیستم‌عامل این فایل را به عنوان یک سند قابل اعتماد و تولید شده در سیستم محلی می‌بیند و تمام محدودیت‌های SmartScreen و Protected View دور زده می‌شوند.[3]
عوامل تهدید به‌طور فعال از این محدودیت سیستمفایل سوءاستفاده میکنند. پژوهشگران امنیتی مرتباً مشاهده میکنند که بدافزارها در داخل فرمت‌های کانتینری توزیع می‌شوند (مانند انواع خاصی از فایلهای فشرده یا فایلهای ایمیج دیسک) که از جریانهای داده جایگزین پشتیبانی نمی‌کنند. وقتی کاربر محتویات را استخراج می‌کند، فایلهای حاصل بدون برچسب Mark of the Web روی هارد دیسک قرار می‌گیرند.[2]
کاربران می‌توانند با راست‌کلیک روی یک فایل معتبر، باز کردن پنجره Properties و تیک زدن گزینه «Unblock» در پایین تب General، این برچسب را به‌صورت دستی حذف کنند. این کار جریان Zone.Identifier را به‌طور کامل پاک می‌کند.[1]
متخصصان امنیت توصیه میکنند که با این گزینه مانند یک دکمه ساده برای رد کردن هشدارهای مزاحم برخورد نکنید. همان‌طور که آفولابی برای MakeUseOf می‌نویسد: «حذف این برچسب، بستر امنیتی را از بین می‌برد، نه خطری که ممکن است درون فایل وجود داشته باشد.» به محض اینکه برچسب از بین برود، سیستم‌عامل فرض می‌کند که کاربر شخصاً سلامت تک‌تک خطوط کد داخل فایل را تضمین کرده است.[1]
اصطلاحات کلیدی
- جریان داده جایگزین (ADS)
- یکی از ویژگی‌های سیستمفایل NTFS که اجازه میدهد داده‌های اضافی و پنهان بدون تغییر محتوای اصلی یا حجم گزارش‌شده فایل، به آن متصل شوند.
- NTFS
- سیستمفایل پیش‌فرض مورد استفاده در سیستم‌عامل‌های مدرن ویندوز، که از ویژگی‌های پیشرفته‌ای مانند مجوزهای فایل و جریانهای داده جایگزین پشتیبانی می‌کند.
- Protected View
- یک محیط ایزوله (Sandbox) محدود و فقط‌خواندنی در مایکروسافت آفیس که برای جلوگیری از اجرای اسکریپت‌ها یا ماکروها توسط اسناد بالقوه مخرب طراحی شده است.
- SmartScreen
- یک جزء ضدبدافزار مبتنی بر فضای ابری در ویندوز که پیش از اجازه اجرای فایلهای اجرایی دانلود شده، اعتبار و امضاهای دیجیتال آن‌ها را بررسی می‌کند.
- بدافزار بدون فایل
- نوعی حمله سایبری که برای اجرای دستورات مخرب بدون نصب نرم‌افزارهای سنتی، به ابزارهای سیستمی معتبر مانند PowerShell یا ماکروهای آفیس متکی است.
پرسش‌های متداول
آیا میتوانم برچسب Mark of the Web را روی فایلهایم ببینم؟
بله. شما میتوانید با باز کردن Command Prompt، رفتن به پوشه Downloads و تایپ دستور `dir /r` این جریان پنهان را مشاهده کنید. این کار پیوستهای پنهان Zone.Identifier را در زیر فایلهای استاندارد شما نمایش میدهد.
آیا Unblock کردن یک فایل آن را ایمن می‌کند؟
خیر. کلیک روی گزینه «Unblock» در تنظیمات فایل صرفاً برچسب امنیتی را پاک می‌کند و به ویندوز می‌گوید که آن را از حالت ایزوله خارج کند. این کار هیچ بدافزار واقعی درون فایل را اسکن یا حذف نمی‌کند.
چرا فایلهای روی فلش USB من این برچسب را از دست میدهند؟
برچسب Mark of the Web به جریانهای داده جایگزین متکی است؛ ویژگیای که مختص سیستمفایل NTFS است. بیشتر فلشهای USB از سیستمفایلهای FAT32 یا exFAT استفاده میکنند که نمیتوانند این جریانهای پنهان را ذخیره کنند، در نتیجه برچسب هنگام انتقال پاک میشود.
آیا همه مرورگرهای وب این برچسب را اعمال میکنند؟
تمام مرورگرهای مدرن و اصلی، از جمله Google Chrome، Mozilla Firefox و Microsoft Edge، هنگام ذخیره یک فایل در درایو NTFS، به‌طور خودکار جریان Zone.Identifier را می‌نویسند.
بررسی عمیق دیدگاه‌ها
مدافعان امنیت سایبری
تیم‌های امنیتی به عنوان اصلی‌ترین خط دفاعی در برابر بدافزارهای بدون فایل، به برچسب Mark of the Web متکی هستند.
برای مدافعان شبکه و تحلیلگران جرم‌شناسی، جریان داده جایگزین یک اثر ارزشمند است. این ویژگی نه تنها سپرهای امنیتی ضروری مانند Protected View و SmartScreen را فعال می‌کند، بلکه گنجاندن HostUrl و ReferrerUrl یک ردپای جرم‌شناسی فوری در طول واکنش به حادثه فراهم می‌کند. با خواندن این جریان پنهان، تحلیلگران می‌توانند دقیقاً مشخص کنند کدام وب‌سایت آلوده این بدافزار را تحویل داده است، حتی اگر کاربر تاریخچه مرورگر خود را پاک کرده باشد.
مدیران IT سازمان‌ها
تیم‌های IT اغلب هنگام ایزوله‌سازی سخت‌گیرانه فایلهای خارجی معتبر، با اختلال در جریان کار مواجه می‌شوند.
در حالی که مزایای امنیتی واضح است، اجرای سخت‌گیرانه Mark of the Web می‌تواند عملیات روزمره تجاری را مختل کند. وقتی کارمندان فاکتورهای معتبر فروشندگان، گزارش‌های خارجی یا قالب‌های دارای ماکرو را از پورتال‌های ابری دانلود میکنند، رفتار پیش‌فرض Microsoft 365 مسدود کردن محتوای فعال است. مدیران باید مرتباً استثنائات Group Policy را اعمال کنند یا به کارکنان آموزش دهند تا فایل‌ها را به‌صورت دستی Unblock کنند، تا تعادلی بین نیاز به امنیت و واقعیت اشتراک‌گذاری فایل بین‌سازمانی ایجاد شود.
تحلیلگران تیم قرمز
عوامل تهدید به‌طور فعال روش‌های تحویل بدافزار را طوری طراحی میکنند که برچسب متادیتا را حذف کرده یا از آن دور بمانند.
از آنجا که Mark of the Web کاملاً به سیستمفایل NTFS متکی است، مهاجمان تکنیک‌های قابل اعتمادی برای دور زدن آن توسعه داده‌اند. با قرار دادن فایلهای اجرایی مخرب در فرمت‌های کانتینری که از جریانهای داده جایگزین پشتیبانی نمی‌کنند (مانند ایمیج‌های دیسک .ISO، فایلهای .VHD یا انواع خاصی از فایلهای فشرده)، آن‌ها اطمینان حاصل میکنند که بدافزار بدون برچسب ZoneId=3 روی دیسک می‌نشیند. پس از استخراج، سیستم‌عامل با این بدافزار مانند یک فایل محلی قابل اعتماد رفتار کرده و SmartScreen را به‌طور کامل دور می‌زند.
- مدافعان امنیت سایبری
- برای این متادیتا به عنوان یک ابزار حیاتی جرم‌شناسی و محرک دفاعی خودکار ارزش قائل هستند.
- تحلیلگران تیم قرمز
- برای توسعه تکنیک‌های دور زدن، روی محدودیت‌های ساختاری این برچسب که مختص NTFS است تمرکز میکنند.
- مدیران IT سازمان‌ها
- روی اصطکاک عملیاتی ناشی از ایزوله‌سازی سخت‌گیرانه اسناد تمرکز دارند.
دیدگاه‌هایی که این گزارش پوشش نداده
- کاربران خانگی عادی
- شرکت‌های سازنده آنتی‌ویروس
منابع
پوشش منابع
4 منبع
3 دیدگاه شناسایی‌شده
- [1]MakeUseOfمدیران IT سازمان‌ها
Every file you download carries a hidden Windows tag you probably never noticed
مطالعه در MakeUseOf → - [2]MITRE ATT&CKمدافعان امنیت سایبری
Subvert Trust Controls: Mark-of-the-Web Bypass
مطالعه در MITRE ATT&CK → - [3]Wikipediaتحلیلگران تیم قرمز
Mark of the Web
مطالعه در Wikipedia → - [4]تیم سردبیری کوهستان
تحلیل تیم سردبیری کوهستان
مطالعه در تیم سردبیری کوهستان →
بیشتر در راهنماها
مشاهده همه →معماری ذخیره‌سازی
چگونه منطق XOR داده‌ها را در آرایه RAID 5 بازسازی می‌کند
9 منبع
سازوکار الگوریتم
الگوریتم بویر-مور: چگونه قواعد کاراکتر بد و پسوند خوب جستجوی رشته‌ای زیرخطی را ممکن میکنند
7 منبع
حریم خصوصی دستگاه
چگونه حالت تعمیر گوشی هوشمند از اطلاعات شخصی شما هنگام سرویس محافظت می‌کند؟
5 منبع
امنیت اندروید
قوانین جدید نصب برنامه در اندروید: «فرآیند پیشرفته» ۲۴ ساعته چگونه کار می‌کند؟
2 منبع
نظرات
هر زاویه. هر روز.
اخبار راهنماها با پوشش کامل منابع و تحلیل دیدگاه‌ها، هر روز و رایگان.